Salut, Une mise à jour de sécurité a été mise en ligne, et j'en ai traduit deux plus anciennes, par avance merci pour vos relectures. Pour la nouvelle mise à jour, j'ai sué à grosses gouttes, Simon a filé un coup de main et indiqué une annonce déjà « traduite » [1]. J'ai aussi survolé un document assez complet sur l'attaque [2], mais ne suis toujours pas complètement satisfait du résultat, donc si vous comprenez mieux de quoi il s'agit, votre aide est particulièrement bienvenue. 1: http://vigilance.fr/vulnerabilite/Xen-elevation-de-privileges-via-Intel-VT-d-10793 2: http://www.invisiblethingslab.com/resources/2011/Software%20Attacks%20on%20Intel%20VT-d.pdf Amicalement David
#use wml::debian::translation-check translation="1.1" maintainer="David Prévot" <define-tag description>Plusieurs vulnérabilités</define-tag> <define-tag moreinfo> <p> Plusieurs vulnérabilités ont été découvertes dans l'hyperviseur Xen de machine virtuelle. </p> <ul> <li><a href="http://security-tracker.debian.org/tracker/CVE-2011-1166";>CVE-2011-1166</a> <p> Un client 64 bits peut placer un de ces microprocesseurs (« vCPUs ») en mode non noyau avant même d'avoir fourni une table valable des pages non noyau, verrouillant ainsi le système hôte. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2011-1583";>CVE-2011-1583</a>, <a href="http://security-tracker.debian.org/tracker/CVE-2011-3262";>CVE-2011-3262</a> <p> Des utilisateurs locaux peuvent provoquer un déni de service et éventuellement exécuter du code arbitraire à l'aide d'une image de noyau client paravirtualisé contrefaite. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2011-1898";>CVE-2011-1898</a> <p> En utilisant un tunnel PCI (« PCI passthrough ») avec les puces VT-d d'Intel qui n'ont pas de mécanisme d'isolation des interruptions (« interrupt remapping »), les utilisateurs du système d'exploitation client peuvent obtenir des droits sur le système d'exploitation hôte en écrivant l'injection d'interruption sur les registres. </p></li> </ul> <p> La distribution oldstable distribution (Lenny) contient une version différente de Xen non affectée par ces problèmes. </p> <p>Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 4.0.1-4.</p> <p>Pour la distribution testing (Wheezy) et la distribution unstable (Sid), ce problème a été corrigé dans la version 4.1.1-1.</p> <p>Nous vous recommandons de mettre à jour vos paquets xen.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2011/dsa-2337.data" # $Id: dsa-2337.wml,v 1.1 2011-11-06 19:58:38 taffit Exp $
#use wml::debian::translation-check translation="1.1" maintainer="David Prévot" <define-tag description>Débordement de mémoire tampon</define-tag> <define-tag moreinfo> <p> aria2, un utilitaire de téléchargement à haute vitesse, est prédisposé à un débordement de mémoire tampon dans le code de routage DHT, ce qui peut permettre l'exécution de code arbitraire. </p> <p>La distribution oldstable (Etch) n'est pas concernée par ce problème.</p> <p>Pour la distribution stable (Lenny), ce problème a été corrigé dans la version 0.14.0-1+lenny1. Les binaires pour powerpc, arm, ia64 et hppa seront fournis dès qu'ils seront disponibles. </p> <p>Pour la distribution testing (Squeeze) et la distribution unstable (Sid), ce problème a été corrigé dans la version 1.2.0-1.</p> <p>Nous vous recommandons de mettre à jour vos paquets aria2.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2009/dsa-1957.data" # $Id: dsa-1957.wml,v 1.1 2009-12-29 17:52:33 spaillard Exp $
#use wml::debian::translation-check translation="1.3" maintainer="David Prévot" <define-tag description>Plusieurs vulnérabilités</define-tag> <define-tag moreinfo> <p> Plusieurs vulnérabilités ont été découvertes dans PostgreSQL, un serveur de base de données. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants :</p> <p> PostgreSQL ne vérifiait pas correctement l'attribut Common Name dans les certificats X.509, permettant aux attaquants de contourner la protection TLS (facultative) lors de connections entre client et serveur, en reposant sur un certificat émis par une autorité de certification de confiance qui contient un octet NUL inclus dans le Common Name (<a href="http://security-tracker.debian.org/tracker/CVE-2009-4034";>CVE-2009-4034</a>). </p> <p> Les utilisateurs de base de données authentifiés pourraient augmenter leurs droits en créant des fonctions d'index contrefaites pour l'occasion (<a href="http://security-tracker.debian.org/tracker/CVE-2009-4136";>CVE-2009-4136</a>). </p> <p> Le tableau suivant montre les versions de paquet source corrigé pour les distributions respectives. </p> <div class="centerdiv"><table cellspacing="0" cellpadding="2"> <tr><th> </th> <th>oldstable, Etch</th> <th>stable, Lenny</th> <th>testing, unstable</th></tr> <tr><td>postgresql-7.4</td> <td>7.4.27-0etch1</td><td> </td> <td> </td></tr> <tr><td>postgresql-8.1</td> <td>8.1.19-0etch1</td><td> </td> <td> </td></tr> <tr><td>postgresql-8.3</td> <td> </td> <td>8.3.9-0lenny1</td><td>8.3.9-1</td></tr> <tr><td>postgresql-8.4</td> <td> </td> <td> </td> <td>8.4.2-1</td></tr> </table></div> <p> En plus de ces correctifs de sécurité, les mises à jours contiennent des améliorations de fiabilité et corrigent d'autres défauts. </p> <p>Nous vous recommandons de mettre à jour vos paquets PostgreSQL.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2009/dsa-1964.data" # $Id: dsa-1964.wml,v 1.3 2010-12-17 14:40:48 taffit-guest Exp $
Attachment:
signature.asc
Description: OpenPGP digital signature